cisco IP

Outre l'inscription de certificat SCEP par les configurations manuelles sur la page Web du téléphone, vous pouvez également utiliser l'option DHCP 43 pour renseigner les paramètres à partir d'un serveur DHCP. L'option DHCP 43 est préconfigurée avec les paramètres SCEP ; par la suite, le téléphone peut récupérer les paramètres sur le serveur DHCP pour effectuer l'enregistrement du certificat SCEP.

Pour inscrire un certificat SCEP en configurant les paramètres SCEP dans l'option DHCP 43, procédez comme suit :

1. Préparer un environnement SCEP.

   Pour plus d'informations sur la configuration de l'environnement SCEP, consultez la documentation de votre serveur SCEP.

2. Configurez DHCP option 43 (définie dans 8.4 Informations spécifiques au fournisseur, RFC 2132).

   Les sous-options (10 à 15) sont réservées à la méthode :

   Paramètre sur la page Web du téléphone	Sous-option	Type	Longueur (octet)	Mandatory
   Mode FIPS	10	booléen	1	Non*
   Serveur	11	chaîne	208 - longueur (mot de passe du défi)	Oui
   Empreinte digitale de l'autorité de certification racine	12	binaire	20 ou 32	Oui
   Mot de passe de défi	13	chaîne	208 - longueur (serveur)	Non*
   Enable 802.1X Authentication	14	booléen	1	Non
   Sélection de certificat	15	Non signé 8 bits	1	Non

   Lorsque vous utilisez l'option DHCP 43, notez les caractéristiques suivantes de la méthode :

   • Les sous-options (10 à 15) sont réservées aux certificats de périphérique personnalisé (CDC).
   • La longueur maximale de DHCP option 43 est de 255 octets.
   • La longueur maximale du mot de passe Serveur + Défi doit être inférieure à 208 octets.
   • La valeur du mode FIPS doit être cohérente avec la configuration de l'approvisionnement d'intégration. Sinon, le téléphone ne parvient pas à récupérer le certificat précédemment installé après l'intégration. Spécifiquement
     • Si le téléphone doit être enregistré dans un environnement où le mode FIPS est désactivé, vous n'avez pas besoin de configurer le paramètre Mode FIPS dans DHCP option 43. Par défaut, le mode FIPS est désactivé.
     • Si le téléphone doit être enregistré dans un environnement où le mode FIPS est activé, vous devez activer le mode FIPS dans DHCP option 43. Voir Activer le mode FIPS pour plus de détails.
   • Le mot de passe de l'option 43 est en texte clair.

     Si le mot de passe de défi est vide, le téléphone utilise MIC/SUDI pour l'inscription initiale et le renouvellement du certificat. Si le mot de passe de défi est configuré, il n'est utilisé que pour l'inscription initiale et le certificat installé sera utilisé pour le renouvellement du certificat.

   • Activer l'authentification 802.1X et Certificate Select (Activer l'authentification 802.1X) et Certificate Select (Sélect.) ne sont utilisés que pour les téléphones sur réseau câblé.
   • DHCP’option 60 (Vendor Class Identifier) est utilisée pour identifier le modèle d'appareil.

   Le tableau suivant fournit un exemple de DHCP option 43 (sous-options 10 à 15) :

   Sous-option décimale/hexadécimale	Longueur de la valeur (octet) décimale/hexadécimale	Valeur	Valeur hexadécimale
   10/0A	1/01	1 (0 : Désactivé ; 1 : Activé)	01
   11/0b	18/12	http://10.79.57.91	687474703a2f2f31302e37392e35372e3931
   12/0C	20/14	12040870625C5B755D73F5925285F8F5FF5D55AF	12040870625C5B755D73F5925285F8F5FF5D55AF
   13/0j	16/10	D233CCF9B9952A15	44323333434346394239393532413135
   14/0e	1/01	1 (0 : Non ; 1 : Oui)	01
   15/0f	1/01	1 (0 : installé en usine ; 1 : installé sur mesure)	01

   Résumé des valeurs des paramètres :

   • Mode FIPS = Activé

   • Serveur = http://10.79.57.91

   • Empreinte digitale de l'autorité de certification racine = 12040870625C5B755D73F5925285F8F5FF5D55AF

   • Mot de passe de défi = D233CCF9B9952A15

   • Activer l'authentification 802.1X = Oui

   • Sélection de certificat = Personnalisé installé

   La syntaxe de la valeur hexadécimale finale est : {<suboption><length><value>}...

   Selon les valeurs des paramètres ci-dessus, la valeur hexadécimale finale est la suivante :

   0a01010b12687474703a2f2f31302e37392e35372e39310c1412040870625C5B755D73F5925285F8F5FF5D55AF0d10443233334343463942393935324131350e01010f0101

3. Configurez DHCP option 43 sur un serveur DHCP.
   Cette étape fournit un exemple de configurations de l'option DHCP 43 sur Cisco Network Register.
   1. Ajoutez DHCP jeu de définitions d'options.

      La chaîne d'option fournisseur est le nom du modèle des téléphones IP. La valeur valide est : DP-9841, DP-9851, DP-9861, DP-9871 ou CP-8875.

   2. Ajoutez l'option DHCP 43 et les sous-options à l'ensemble de définitions d'options DHCP.

      Par exemple :

      

   3. Ajoutez les options 43 à la stratégie de DHCP et définissez la valeur comme suit :

      Par exemple :

      (10 1)(11 http://10.79.57.91)(12 12040870625C5B755D73F5925285F8F5FF5D55AF)(13 D233CCF9B9952A15)(14 1)(15 1)

   4. Vérifiez les paramètres. Vous pouvez utiliser Wireshark pour capturer une trace du trafic réseau entre le téléphone et le service.
4. Réinitialisez le téléphone aux valeurs d'usine.

   Une fois le téléphone réinitialisé, les paramètres Server, Root CA Fingerprint et Challenge Password seront renseignés automatiquement. Ces paramètres figurent dans la section Configuration 1 SCEP de Certificat > Personnalisé sur la page Web d'administration du téléphone.

   Pour vérifier les détails du certificat installé, cliquez sur Afficher dans la section Certificats existants.

   Pour vérifier l'état de l'installation du certificat, sélectionnez Certificat > État du certificat personnalisé. L'état de téléchargement 1 affiche le dernier résultat. Si un problème survient lors de l'enregistrement du certificat, l'état de téléchargement peut indiquer la raison du problème à des fins de dépannage.

   Si l'authentification du mot de passe de défi échoue, les utilisateurs sont invités à le saisir sur l'écran du téléphone.
5. (Facultatif) : pour supprimer le certificat installé du téléphone, cliquez sur Supprimer dans la section Certificats existants.
   Une fois que vous avez cliqué sur le bouton, l'opération de suppression commence immédiatement sans confirmation.

Le certificat de l'appareil peut être actualisé automatiquement par le processus SCEP.

• Le téléphone vérifie si le certificat expire dans 15 jours toutes les 4 heures. Si tel est le cas, le téléphone démarre automatiquement le processus de renouvellement du certificat.
• Si le mot de passe de défi est vide, le téléphone utilise MIC/SUDI pour l'inscription initiale et le renouvellement du certificat. Si le mot de passe de défi est configuré, il est utilisé uniquement pour l'inscription initiale, le certificat existant/installé est utilisé pour le renouvellement du certificat.
• Le téléphone ne supprime pas l'ancien certificat d'appareil tant qu'il n'a pas récupéré le nouveau.
• Si le renouvellement du certificat échoue parce que le certificat de l'appareil ou l'autorité de certification expire, le téléphone déclenche automatiquement l'inscription initiale. Entre-temps, si l'authentification du mot de passe de défi échoue, un écran de saisie du mot de passe apparaît sur l'écran du téléphone et les utilisateurs sont invités à entrer le mot de passe de test sur le téléphone.

Les téléphones IP Cisco prennent en charge l’authentification 802.1X.

Les téléphones IP Cisco et les commutateurs Catalyst Cisco utilisent généralement le protocole de découverte Cisco (CDP) pour s’identifier entre eux et pour déterminer des paramètres tels que l’allocation d’un réseau VLAN et les exigences relatives à l'alimentation en ligne. CDP n’identifie pas localement les postes de travail raccordés. Les téléphones IP Cisco fournissent un mécanisme de connexion directe à EAPOL. Grâce à ce mécanisme, un poste de travail raccordé au téléphone IP Cisco peut faire passer des messages EAPOL à l’authentifiant 802.1X et au commutateur LAN. Le mécanisme de connexion directe assure que le téléphone IP n’agisse pas en tant que commutateur LAN pour authentifier un terminal de données avant d'accéder au réseau.

Les téléphones IP Cisco fournissent également un mécanisme de déconnexion d’EAPOL par proxy. Si l’ordinateur raccordé localement est déconnecté du téléphone IP, le commutateur LAN ne détecte pas l’interruption de la liaison physique, car la liaison entre le commutateur LAN et le téléphone IP est maintenue. Pour éviter de compromettre l’intégrité du réseau, le téléphone IP envoie au commutateur un message EAPOL-Logoff au nom de l’ordinateur en aval, pour que le commutateur LAN efface la valeur d’authentification correspondant à l'ordinateur en aval.

La prise en charge de l’authentification 802.1X requiert plusieurs composants :

• Téléphone IP Cisco : le téléphone envoie la requête d'accès au réseau. Les téléphones IP Cisco contiennent un demandeur 802.1X. Ce demandeur permet aux autoriser de contrôler la connectivité des téléphones IP aux ports de commutation LAN. La version actuelle du demandeur 802.1X du téléphone utilise les options EAP-FAST et EAP-TLS pour l’authentification réseau.

• Serveur d'authentification : le serveur d'authentification et le commutateur doivent tous deux être configurés avec un secret partagé qui authentifie le téléphone.

• Commutateur : le commutateur doit prendre en charge la norme 802.1X, afin de pouvoir agir comme authentifiant et transmettre les messages entre le téléphone et le serveur d'authentification. Une fois l’échange terminé, le commutateur accorde ou refuse au téléphone l’autorisation d’accéder au réseau.

Vous devez effectuer les actions suivantes pour configurer 802.1X.

• Configurez les autres composants avant d'activer l’authentification 802.1X sur le téléphone.

• Configure PC Port (Configurer le port PC) : La norme 802.1X ne tenant pas compte des VLAN, il est recommandé qu’un seul périphérique soit authentifié pour un port de commutation donné. Toutefois, certains commutateurs prennent en charge l’authentification sur plusieurs domaines. La configuration du commutateur détermine si vous pouvez brancher un ordinateur dans le port PC du téléphone.

  • Activé : si vous utilisez un commutateur qui prend en charge l'authentification multi-domaine, vous pouvez activer le port PC et y connecter un ordinateur. Dans ce cas, les téléphones IP Cisco prennent en charge la déconnexion d’EAPOL par proxy pour surveiller les échanges d’authentification entre le commutateur et l’ordinateur relié.

    Pour obtenir plus d’informations sur la prise en charge de la norme IEEE 802.1X sur les commutateurs Catalyst Cisco, reportez-vous aux guides de configuration des commutateurs Catalyst Cisco, disponibles à l'adresse :

    Http://www.cisco.com/en/US/products/hw/switches/ps708/tsd_products_support_series_home.html

  • Désactivé : si le commutateur ne prend pas en charge plusieurs périphériques conformes à 802.1x sur le même port, vous devez désactiver le port PC lorsque l'authentification 802.1x est activée. Si vous ne désactivez pas ce port et tentez ensuite d’y raccorder un ordinateur, le commutateur refusera l'accès réseau au téléphone et à l’ordinateur.

• Configure Voice VLAN (Configurer le VLAN voix) : la norme 802.1X ne tenant pas compte des VLAN, vous devez configurer ce paramètre en fonction de la prise en charge du commutateur.
  • Activé : si vous utilisez un commutateur qui prend en charge l’authentification sur plusieurs domaines, vous pouvez continuer à utiliser le VLAN voix.
  • Désactivé : si le commutateur ne prend pas en charge l’authentification sur plusieurs domaines, désactivez le VLAN voix et envisagez d’affecter le port à un VLAN natif.
• (Pour téléphone de bureau Cisco série 9800 uniquement)

  Le PID du téléphone de bureau Cisco 9800 Series comporte un préfixe différent de celui des autres téléphones Cisco. Pour activer votre téléphone avec succès l'authentification 802.1x, définissez le Rayon· Nom d'utilisateur pour inclure votre téléphone de bureau Cisco série 9800.

  Par exemple, le PID du téléphone 9841 est DP-9841 ; vous pouvez définir Radius· Nom d'utilisateur commençant par DP ou contient DP. Vous pouvez le définir dans les deux sections suivantes :

  • Stratégie > Conditions > Conditions de la bibliothèque

  • Stratégie > Ensembles de stratégies > Autorisation Stratégie > Règle d'autorisation 1